Webanalyse-Werkzeuge und Datenschutz - DSGVO-Update

Um zu wissen, wie ihr Angebot angenommen wird, sind Webanalyse-Werkzeuge auch für Betreiber von Kinder-Webseiten zentral. Die Werkzeuge messen etwa, wie oft und wie die Seite besucht wird und stellen die Ergebnisse in aufbereiteter Form zur Verfügung.

In der Regel bieten diese Werkzeuge statistisch zusammengefasste Informationen an. Über die Auswertung der Zugriffe lässt sich unter Umständen aber auch genau verfolgen, welche Seiten ein bestimmter Nutzer besucht, welche Links er angeklickt hat und weitere Informationen. Das individuelle Verhalten der Nutzer wird durch Webtracking erfasst und Profile werden erstellt. An dieser Stelle kommen datenschutzrechtliche Regelungen ins Spiel.

Rechtliche Einordnung von Webtracking

Rechtlich ist die Analyse des Nutzungsverhaltens wohl als Verarbeitung zum Zwecke der Marktforschung einzuordnen und damit grundsätzlich zulässig, sofern die weiteren rechtlichen Anforderungen eingehalten werden.

Wenn durch Webanalyse-Werkzeuge Nutzerprofile erstellt werden, ist das erlaubt, solange diese pseudonym bleiben und Besuchern des Angebots die Möglichkeit gegeben wird, der Erstellung der Profile zu widersprechen.

Wer darüber hinausgehende Profile, etwa mit einer direkten Zuordnung zu Personen erstellen will, müsste wieder auf eine explizite Einwilligungserklärung zurückgreifen. Allerdings ist dies im Bereich der Webseitennutzungsanalyse absolut unüblich.

Werden Webanalyse-Werkzeuge eingesetzt, muss sich das in der allgemeinen Datenschutzerklärung des Angebots widerspiegeln. Hier ist auch ein geeigneter Ort, auf die Widerspruchsmöglichkeit hinzuweisen.

Datenschutz-Optionen am Beispiel Piwik

Für die Webanalyse gibt es unterschiedliche Anbieter. Ein verbreiteter und ohne großen Aufwand datenschutzfreundlich einsetzbarer Dienst ist „Piwik“. Seitenbetreiber/innen können das quelloffene Programm auf ihrem eigenen Webangebot einrichten. Das ist die datenschutzfreundlichste Lösung. Hierbei fallen die Daten nur beim Webseitenbetreiber an. Daneben ist es auch möglich, die Webanalyse mittels Piwik durch einen Dienstleister durchführen zu lassen.

Piwik bietet eine Reihe von Auswertungs- und Darstellungsmöglichkeiten der Webseiten-Besuche, die zumindest grundlegende statistische Auswertungen ermöglichen. Hingewiesen werden soll in diesem Rahmen auf die Möglichkeiten zur datenschutzfreundlichen Konfiguration von Piwik. Dazu gehört insbesondere die Option, IP-Adressen nur gekürzt zu speichern. Diese Einstellung ist bei einer Standardinstallation voreingestellt und wird von Datenschutzbehörden empfohlen. Der Nachteil: Einige statistische Auswertungen über die Nutzung des Angebots werden fehleranfälliger.

Muster: Datenschutz-Erklärung bei Einsatz von Piwik zur Webanalyse

Die Datenschutzerklärung der Internetseite muss die Nutzung von Webanalyse-Werkzeugen wie Piwik transparent machen und auch eine Widerspruchsmöglichkeit einräumen. Dies kann etwa dadurch geschehen, dass die Erklärung um folgenden Text ergänzt wird:

Für den letzten Abschnitt, der auch das Opt-out ermöglicht, muss auch die technische Einbindung dieser Möglichkeit umgesetzt werden. Hinweise hierzu finden sich ebenfalls in der Dokumentation von Piwik.

Beispiel

Hinweis auf die Opt-out Möglichkeit in der Datenschutzerklärung der Kinderwebseite sowieso.de

Vorschlag für den Einsatz des Webanalyse-Tools Piwik in kindgerechter Sprache:

Google Analytics

Das US-Unternehmen Google bietet unter dem Namen „Analytics“ ebenfalls einen Dienst an, der Nutzerzugriffe misst und übersichtlich darstellt. Auch dieses Produkt lässt sich wohl unterdessen rechtskonform einsetzen. Allerdings sind hier eine Reihe von Dingen berücksichtigen:

• Zunächst muss – wie bei Piwik – auch eine Möglichkeit zum Opt-out per Opt-out-Cookie eingebunden werden.
• Es müssen die erforderlichen Anpassungen in der Datenschutzerklärung vorgenommen werden.
• Es muss mit der Firma Google eine Auftragsdatenvereinbarung geschlossen werden. Dazu müssen Sie ein entsprechendes Schreiben an Google schicken.
• Die so genannte “AnonymizeIP-Funktion” muss im Code der Seite verwendet werden.

Eine gute Übersicht zum Thema findet sich unter anderem hier.

Allerdings ist das Angebot von Google immer wieder von Datenschutzbehörden kritisiert worden. Obwohl sowohl Google als auch die zuständigen Aufsichtsbehörde viel Zeit in die Suche nach einer möglichen Lösung investiert haben, blieben Zweifel, ob es möglich ist, Google Analytics rechtskonform einzusetzen. Für den Dienst „Universal Analytics“ ist die Rechtslage derzeit noch gar nicht umfassend diskutiert.

Rechtlich wird dies unter anderem am Gebot diskutiert, der Möglichkeit der Bildung pseudonymer Profile zu widersprechen. Eigentlich ist das Problem aber ein anderes: Google misst die Seitennutzung über eigene Server, so dass die Daten Google gleichzeitig auf für zur weiteren Auswertung und Anreicherung seines enormen Datenbestandes dienen. Ob und welcher Form hieraus ein gesellschaftliches Problem entsteht, ist bisher noch nicht abschließend erörtert.

Checkliste Webanalyse

• Werden Werkzeuge zur Webanalyse von externen Dienstleistern genutzt? Wurde eine Auftragsdatenvereinbarung abgeschlossen?
• Bei eigener Installation: Wurden datenschutzfreundliche Einstellungen aktiviert? (Vor allem: Kürzung der IP-Adressen)
• Ist der Einsatz des Werkzeugs in der Datenschutzerklärung aufgeführt?
• Ist eine Opt-out Möglichkeit für Besucher des Angebots vorgesehen?

Dieser Text ist im Rahmen der Service-Reihe „Datenschutz auf Webseiten“ in Zusammenarbeit von Seitenstark mit iRights.law Rechtsanwälte entstanden.

Webanalyse-Werkzeuge und Datenschutz von Seitenstark e.V. ist lizenziert unter einer Creative Commons Namensnennung 4.0 International Lizenz.